Cos'è il DNS e come funziona? Il sistema dei nomi di dominio spiegato in modo semplice

Il DNS, acronimo di Domain Name System (sistema dei nomi di dominio), funge da elenco telefonico di Internet. Al posto dei numeri di telefono, i computer comunicano utilizzando indirizzi numerici chiamati indirizzi IP, come 192.168.1.1.

Senza DNS, non potresti accedere ai servizi online (come siti web, forum di chat o persino l'account email). Questo perché il tuo browser parla una lingua diversa (indirizzo IP) dalla tua (testo), che i server DNS aiutano a tradurre.

Ecco come funziona e perché è importante per la tua privacy.

Definizione di DNS in termini semplici

Come appena detto, noi umani non parliamo la stessa lingua dei browser web, i quali non sono in grado di comprendere il normale URL testuale che inseriamo nella barra degli indirizzi. Il browser web ha bisogno di un equivalente numerico dell'URL: l'indirizzo IP.

Quindi, il DNS interviene come intermediario, traducendo l'indirizzo web inserito in un indirizzo IP per il browser. In questo modo, il browser è in grado di comprendere la richiesta dell'utente e di servire esattamente le pagine web che desidera visitare.

Cos'è il DNS? (video esplicativo di ExpressVPN)

Dettagli del funzionamento del DNS

Il DNS si attiva quando digiti l'indirizzo di una pagina web e clicchi o tocchi il pulsante Cerca o Vai nel browser (o si premi Invio sulla tastiera). I server DNS sono così efficienti che lavorano in millisecondi.

Di seguito, abbiamo semplificato ciò che accade tra il momento in cui si effettua una richiesta web e la consegna da parte del browser.

Dalla digitazione di un URL al caricamento di una pagina

Quando si immette un indirizzo web nell'apposita barra e si preme Vai/Invia, il browser invia l'indirizzo al DNS. Il DNS impegna quattro server principali (spiegazione in basso) per cercare l'indirizzo IP corrispondente a quel sito web (un processo chiamato ricerca DNS o DNS lookup).

Il browser ha bisogno di quell'indirizzo IP, in quanto indirizzo univoco che indica esattamente dove sia ospitato online il contenuto che stai cercando. Il DNS invia tale indirizzo IP al browser web, che ora saprà esattamente dove andare, caricando la pagina web correttamente o restituendo un errore se per qualche motivo non può essere mostrata.

Qualcuno si chiederà perché non inserire l'indirizzo IP nel browser stesso e bypassare il DNS, ed è possibile farlo, ma non ne vale la pena. Ecco perché:

• Con il DNS è più semplice: è molto più facile ricordare nomi di siti web (come www.expressvpn.com) che indirizzi IP numerici.
• Gli indirizzi IP possono cambiare: i siti web aggiornano spesso i loro IP e il DNS ne gestisce il cambio automaticamente. Se ci si affida agli IP memorizzati, questi possono farsi rapidamente obsoleti.
• Limitazioni tecniche: i moderni siti web utilizzano spesso l'hosting condiviso e il protocollo HTTPS. L'inserimento diretto di un indirizzo IP può causare errori di corrispondenza dei certificati TLS o impedire al server di identificare il sito corretto, causando errori o avvisi di sicurezza.

I quattro principali server DNS coinvolti

Le query DNS provenienti dal browser vengono ricevute, elaborate e risolte da quattro server principali.

Risolutore DNS ricorsivo

Il risolutore DNS ricorsivo (recursive DNS resolver), noto anche come server DNS ricorsivo, accetta una richiesta di ricerca DNS dal browser e la invia per l'elaborazione.

È come l'addetto alla reception della grande banca dati in cui sono conservati tutti i record DNS. Pertanto, ogni richiesta deve passare da qui prima di giungere agli altri reparti (server) per l'elaborazione.

In molti casi, il risolutore DNS ricorsivo può fare più che semplicemente accettare la richiesta. Questo accade in una situazione chiamata DNS caching, che spiegheremo meglio in seguito.

Server dei nomi radice

Se il server DNS ricorsivo non dispone delle informazioni in cache, trasmette una richiesta (query) al server dei nomi radice (root name server).

Il server dei nomi radice è come l'ufficio dei registri, ossia che contiene le informazioni cruciali su dove si deve andare per ottenere una certa cosa. Restituirà un elenco di server TLD (Top-Level Domain, dominio di primo livello), in modo che il dispositivo possa continuare la ricerca affidandola a uno di tali server.

Server TLD

Il dominio di primo livello (TLD) si riferisce alla parte finale dell'indirizzo di un sito web, solitamente preceduta da un punto. Ecco alcuni esempi:

Un nameserver TLD contiene informazioni per tutti i nomi di dominio che condividono un'estensione comune, come .com o .org. I domini di primo livello si dividono in due categorie: gerarchia organizzativa e gerarchia geografica. Esempi di quelli organizzativi includono .com, .gov e .edu. Ad esempio, un nameserver TLD .com contiene informazioni su tutti i siti web che terminano con .com. I TLD geografici risultano localizzati a determinate aree di operatività.

Server dei nomi autoritativo

Il server dei nomi autoritativo è il punto di controllo finale. A differenza degli altri, è legato a uno specifico nome di dominio. Per questo motivo è in grado di memorizzare tutte le informazioni rilevanti di quel nome di dominio, nonché aggiornarle quando necessario e condividere effettivamente quei dati (indirizzo IP) con il server ricorsivo senza fare confusione.

Il server ricorsivo ottiene l'indirizzo IP da qui e lo invia al browser web. In questo modo, il browser web può risolvere l'indirizzo web digitato nella giusta posizione sul web.

Tipi di richieste DNS: ricorsiva, iterativa e non ricorsiva

Il server ricorsivo ha il compito di effettuare le richieste per conto del client (il tuo browser web) agli altri tre server. Queste richieste sono classificate in base a dove sono memorizzate le informazioni DNS oggetto della ricerca:

• Richieste ricorsive: è la somma totale delle interazioni tra il client (il tuo browser) e il server ricorsivo. Ogni richiesta DNS passata attraverso il server ricorsivo si concluderà con una risposta (viene visualizzata la pagina web desiderata) o con un errore (certificati non validi, nome non trovato nei record DNS ecc.).
  
• Richieste iterative: le richieste DNS iterative comportano l'interazione del server ricorsivo con gli altri server principali, generando un rinvio (dal server dei nomi radice e dal server TLD) o una risposta (dal server dei nomi autoritativo).
• Richieste non ricorsive: per questo tipo di richieste, il server ricorsivo sa dove si trova la risposta e non ha bisogno di verificarla con server intermedi. Questo è il caso in cui il DNS richiesto si trova già memorizzato nella cache.

Caching DNS: come i browser e i dispositivi memorizzano i DNS

Il caching DNS è un processo di memorizzazione temporanea che conserva la risposta di una richiesta DNS più vicina al client richiedente, di solito sul server ricorsivo. In questo modo, alla richiesta successiva, il client non deve passare attraverso vari server prima di accedere alla stessa proprietà web, consumando inoltre meno risorse di CPU.

Ma c'è un problema: mentre la cache migliora la velocità e le prestazioni, non serve la versione più recente di una pagina web. Ad esempio, se si accede nuovamente a un subreddit mentre è ancora nella cache, è possibile che non si vedano nuove attività (commenti, upvotes ecc.). In questo caso, è necessario ricaricare la pagina, svuotare la cache o attendere la scadenza dei dati memorizzati nella cache prima di ricevere nuovi aggiornamenti.

Detto questo, dove vengono memorizzati i dati DNS nella cache?

La memorizzazione nella cache avviene ovunque nella catena ricorsiva: il browser memorizza nella cache il DNS, così come il dispositivo, il router e il server DNS che si sta interrogando (come nel diagramma precedente).

Memorizzazione della cache DNS nel browser

Un buon browser Internet memorizza in cache i dati dei siti web visitati di recente, in modo da consumare meno risorse e non dover effettuare le stesse richieste per accedere di nuovo alla medesima pagina.

La possibilità di visualizzare contenuti obsoleti non desta alcuna preoccupazione, in quanto i dati memorizzati nella cache sono solo temporanei: il browser richiederà nuove pagine aggiornate alla scadenza limite della cache.

Vuoi verificare lo stesso della tua cache sui browser più diffusi? Digita i seguenti indirizzi interni nel browser che preferisci:

Memorizzazione della cache a livello di dispositivo

La maggior parte dei sistemi operativi moderni è dotata di un server DNS integrato: lo stub resolver.

Di per sé, questo server DNS non può fare richieste agli altri server, però può impacchettare il messaggio proveniente dal client (ad esempio, il browser web) e inviarlo al server DNS ricorsivo, che effettuerà per suo conto tutte le richieste necessarie.

Qui la questione si fa interessante.

Una volta completato il processo di ricerca DNS e che il server ricorsivo ha ottenuto l'indirizzo IP del sito interrogato, questo viene inviato nuovamente al client web attraverso lo stub resolver del DNS. In questa fase, lo stub resolver può memorizzare una copia (cache) della risposta alla richiesta della ricerca DNS.

Pertanto, alla successiva richiesta degli stessi dati, lo stub resolver del DNS potrà servire il client web, senza inviare un altro messaggio al server DNS ricorsivo.

Cos'è un indirizzo DNS?

Un indirizzo DNS è l'indirizzo IP del server DNS ricorsivo utilizzato dal dispositivo per eseguire ricerche DNS nel modo descritto sopra.

La maggior parte degli utenti deve preoccuparsi solo del proprio server ricorsivo, che di solito è gestito ed è di proprietà del provider di servizi Internet (ISP) o dell'azienda in cui lavora l'utente. In generale, i server DNS coinvolti nella risoluzione di un nome di sito web a un indirizzo IP possono essere di proprietà, gestiti od ospitati da individui, governi e organizzazioni. Alcuni dei server DNS ricorsivi pubblici più comuni sono 8.8.8.8 e 1.1.1.1, rispettivamente di proprietà di Google e Cloudflare.

Privacy e sicurezza del DNS: cosa c'è da sapere

È interessante sapere cos'è e come funziona un server DNS. Tuttavia, è molto più importante sapere quanto sia cruciale per la privacy e la sicurezza di Internet.

Cosa rivela il DNS agli ISP e ai provider di rete

Per impostazione predefinita, le tue ricerche DNS vengono instradate attraverso il tuo ISP o l'amministratore di rete. Una volta che il server DNS trova l'indirizzo IP desiderato, anche questo viene inviato al browser attraverso i server dell'ISP. Questo processo rivela al tuo ISP metadati specifici:

• Quale nome di dominio hai richiesto.
• L'ora esatta in cui è stata fatta la richiesta.
• Il tuo indirizzo IP, che può essere utilizzato per identificare la tua posizione o il tuo dispositivo.

Queste informazioni sono sufficienti per dedurre la tua intenzione di collegarti a quel sito web, anche se il contenuto della comunicazione con il sito resta nascosto se si utilizza la crittografia (come HTTPS). Ad ogni modo, la richiesta DNS può già di per sé svelare a terzi le tue abitudini di navigazione.

La buona notizia è se stabilisci una connessione con ExpressVPN, saranno i nostri server a gestire tutte le tue richieste DNS, non l'ISP.

Visto che ExpressVPN protegge il tuo traffico, il tuo ISP non potrà nemmeno sapere se hai effettuato una richiesta DNS. Non registriamo mai le richieste DNS e quando cerchiamo un nome per conto dell'utente, tutto ciò che qualsiasi altro server DNS può vedere è l'indirizzo del nostro server.

Considerato che tutti gli utenti collegati al medesimo server condividono lo stesso server DNS, tutte le richieste provengono da un'unica fonte, mescolando le tue richieste a quelle degli altri utenti. Anche se qualcuno fosse interessato al traffico DNS, non sarebbe in grado di isolare un utente in particolare.

Come l'esposizione dei DNS compromette l'anonimato e la sicurezza online

Anche se non sono molto privati, i server DNS pubblici sono generalmente sicuri. Tuttavia, i criminali informatici possono prendere di mira i server DNS per compromettere la tua privacy e la sicurezza e interrompere il funzionamento dei tuoi dispositivi:

• Spoofing DNS (avvelenamento della cache): attacco che prevede l'iniezione di dati DNS malevoli nella cache di un risolutore, inducendolo a restituire un indirizzo IP errato che può reindirizzare gli utenti a un sito di phishing che induce con l'inganno a scaricare malware o a divulgare dati sensibili (come numeri di carte di credito o credenziali di login).
• Attacchi di amplificazione DNS: si tratta di una tipologia di attacco DDoS in cui i malfattori inviano a un server richieste DNS false, impostando come indirizzo di ritorno l'IP della vittima. I server DNS inviano quindi risposte di grandi dimensioni all'indirizzo IP dell'utente, potendone sovraccaricare i dispositivi e i server, con conseguente malfunzionamento e blocco.
• DNS hijacking: il DNS hijacking (dirottamento DNS) è un fenomeno simile allo spoofing DNS, in quanto il malfattore reindirizza richieste DNS legittime verso i siti sbagliati al fine di ingannare la vittima. La differenza principale è che questo avviene sulle richieste DNS attive, anziché sui dati DNS memorizzati in cache. I criminali informatici potrebbero aver bisogno di introdursi nel router o di installare malware sul dispositivo per compiere con successo questo attacco.
• Attacchi eavesdropping: siccome spesso le richieste DNS sono trasmesse come semplice testo sui protocolli UDP, chiunque abbia le giuste conoscenze tecniche può intercettare e interpretare questi dati. I tuoi dati Internet potrebbero rivelare quali siti stai visitando, con conseguenti rischi per la sicurezza di quegli utenti che preferiscono proteggere la propria privacy online.

DNS over HTTPS (DoH) e DNSSEC: cosa proteggono

Fortunatamente esistono misure per rafforzare la sicurezza delle ricerche DNS e garantirne la legittimità costante. Tra queste, sono esempi notevoli il "DNS over HTTPS" e il "DNSSEC".

DNS over HTTPS (DoH)

Protegge da: attacchi di dirottamento DNS, eavesdropping e spoofing.

Il traffico DNS di base viene inviato ai relativi server come testo non criptato. In questo modo i dati viaggiano più velocemente, ma esponendo il traffico DNS alle minacce. Anche se il sito web di destinazione utilizzasse HTTPS, le richieste DNS verso tale sito sarebbero comunque leggibili come semplice testo.

È qui che entra in gioco il metodo DNS over HTTPS (DoH) per colmare il divario di sicurezza. Ora, i dati del traffico DNS vengono crittografati durante il viaggio, rendendoli illeggibili a chiunque li intercetti. Essendo illeggibili, gli attori delle minacce non possono copiare o falsificare i dati, rendendo impossibile l'iniezione di codice dannoso o di reindirizzamenti nel traffico DNS.

DNSSEC

Protegge da: reindirizzamento, hijacking e spoofing DNS, nonché dagli attacchi man-in-the-middle.

Il sistema Domain Name System Security Extension (DNSSEC, estensione di sicurezza del sistema dei nomi di dominio) garantisce che ogni record DNS richieda una firma unica che ne identifichi la legittimità prima di essere eseguito sul computer. In altre parole, il DNSSEC inietta chiavi speciali nei server dei nomi (di solito il server dei nomi autoritativo), che possono essere confermate dal browser prima di accettare il record DNS restituito.

Una volta confermata la legittimità di una chiave, il browser può inviare con sicurezza l'utente al sito web a cui intendeva accedere. In caso contrario, la connessione viene bloccata poiché il client web rileva che la chiave digitale è stata alterata o non esiste più.

Ci sarà sempre una coppia di chiavi associate a un record DNS: la chiave pubblica e quella privata. Le chiavi private non vengono mai condivise e rimangono esclusivamente nell'area del DNS in cui sono conservati i record. Le chiavi pubbliche, generate contemporaneamente alle chiavi private a cui sono abbinate, possono essere richieste dal server DNS ricorsivo per convalidare i record DNS.

L'impostazione del DNSSEC è un importante fattore di mitigazione contro gli attacchi basati sulla fiducia, come quelli di hijacking o spoofing DNS. Grazie alle firme digitali, il server ricorsivo non si limita ad accettare qualsiasi risposta dal server autoritativo, ma la verifica utilizzando la chiave pubblica associata.

Problemi comuni dei DNS e soluzioni

I server DNS sono progettati per essere praticamente a prova di errore. Possono passare anni senza che ci si ricordi della loro esistenza, in quanto funzionano in background senza bisogno di alcun input da parte dell'utente.

Detto questo, non sono esenti da alcuni problemi comuni:

• Errore di risoluzione DNS: si verifica quando il server DNS non riesce a risolvere la tua richiesta. In tal caso, verifica innanzitutto lo stato della tua connessione di rete. Se la rete è attiva, dovrai attendere che l'amministratore del sito web o il cosiddetto registrar del dominio risolvano il problema dal loro lato.
  
• Problemi della cache DNS: il server DNS potrebbe continuare a servire una versione precedente di una pagina web, mentre ne esiste una nuova. È possibile risolvere il problema cancellando la cache dalle impostazioni del browser oppure riavviando il browser o il dispositivo.
• Errore DNS NXDOMAIN: l'errore NXDOMAIN informa che il sito web che si sta cercando di visitare è inesistente. Per generare questo errore, ad esempio, abbiamo provato scrivendo sbagliato "ExpressVPN" come "ExpressssVPN". Il server ricorsivo ha cercato di trovare i record DNS per tale dominio, ma non ci è riuscito poiché non ancora configurato. A seconda del tuo sistema operativo e della versione di Chrome, potresti visualizzare questo errore come DNS_PROBE_FINISHED_NXDOMAIN o ERR_NAME_NOT_RESOLVED. Indicano entrambi il fallimento della ricerca DNS.
  

Se i problemi del DNS persistono dopo la riconnessione a Internet e il riavvio del dispositivo, provare a riavviare anche il router. Se neppure questo funziona, meglio contattare il tuo ISP, poiché potrebbe trattarsi di un problema di configurazione.

Cosa significa "Il server DNS non risponde"?

Viene mostrato l'errore "Il server DNS non risponde" quando la pagina web a cui si sta tentando di accedere risulta inattiva, magari per manutenzione o a causa di attacchi come i cosiddetti distributed denial of service (DDoS).

È possibile che si visualizzi questo errore anche quando:

• La connessione Internet non è attiva.
• Il server ricorsivo non funziona.
• La cache del browser deve essere aggiornata.

Se non hai modificato le impostazioni di rete del browser o del dispositivo e la tua connessione Internet funziona, un semplice riavvio dovrebbe risolvere il problema.

Come cambiare le impostazioni DNS su qualunque dispositivo

Esistono diverse ragioni per modificare le proprie impostazioni DNS su smartphone iOS e Android o su computer Mac e Windows:

• Per aggiungere un backup in caso di guasto del server DNS primario.
• Per filtrare i contenuti e applicare il controllo parentale a livello di rete.
• Per passare a una rete DNS interna o di proprietà.
• Per migliorare la propria privacy e sicurezza su Internet.

Se il tuo obiettivo è cambiare le impostazioni DNS per ottenere una migliore privacy e sicurezza online, ti consigliamo di evitare tutti quei passaggi tecnici necessari, perché puoi semplicemente collegarti a un server VPN di un provider con server DNS privati come ExpressVPN.

Modificare le impostazioni DNS su Windows

Nota: per il nostro esempio abbiamo utilizzato Windows 11. Per altre versioni i passaggi potrebbero essere leggermente diversi.

1. Collegati alla rete per la quale vuoi modificare le impostazioni DNS. Puoi connetterti sia tramite Ethernet che con il Wi-Fi.
2. Apri il Pannello di controllo di Windows.
   
3. Clicca su Rete e Internet.
   
4. Clicca su Centro connessioni di rete e condivisione.
   
5. Clicca su Modifica impostazioni scheda.
   
6. Clicca con il tasto destro del mouse sulla connessione, quindi seleziona Proprietà.
   
7. Se viene richiesta la password di un amministratore, immettila.
8. Seleziona la scheda Rete. Sotto a La connessione utilizza gli elementi seguenti, scegli tra le opzioni Internet Protocol Version 4 (TCP/IPv4) o Internet Protocol Version 6 (TCP/IPv6) e poi clicca su Proprietà.
   
9. Seleziona l'opzione Utilizza i seguenti indirizzi server DNS.
   
10. Inserisci i valori desiderati per Server DNS preferito e Server DNS alternativo.
11. Clicca su OK per confermare la modifica apportata.

Ricorda di verificare immediatamente se la connessione funziona, in modo da poter risolvere ogni eventuale problema e mantenersi connessi a Internet.

Modificare le impostazioni DNS su Mac

Nota: per il nostro esempio abbiamo utilizzato macOS 26.1. Per altre versioni i passaggi potrebbero essere leggermente diversi.

1. Accedi alle Impostazioni di Sistema del tuo Mac.
2. Clicca su Rete.
3. Seleziona la connessione per la quale desideri modificare le impostazioni DNS. Può trattarsi di una rete Wi-Fi o anche Ethernet.
   
4. Clicca su Dettagli... per la rete interessata.
   
5. Seleziona DNS.
   
6. Copia l'indirizzo del server DNS esistente e conservarlo in un luogo sicuro. Questo passaggio è fondamentale per risolvere eventuali problemi.
7. Clicca sull'icona + per sostituire le impostazioni DNS esistenti.
   
8. Aggiungi un nuovo indirizzo IPv4 o IPv6.
9. Clicca su OK per confermare la modifica apportata.

È possibile verificare se la nuova configurazione funziona chiudendo il browser, riavviandolo e aprendo una pagina web. In questo modo, si è sicuri che il browser non stia servendo una pagina memorizzata nella cache, ma una nuova pagina risolta dal nuovo server DNS.

Modificare le impostazioni DNS su iOS (iPhone e iPad)

Nota: per il nostro esempio abbiamo utilizzato iOS 26.0.1. Per altre versioni i passaggi potrebbero essere leggermente diversi.

1. Collegati alla rete Wi-Fi per la quale desideri modificare le impostazioni DNS e vai alle Impostazioni del tuo dispositivo iOS. Tocca Wi-Fi.
   
2. Tocca l'icona per le informazioni (i) accanto al nome della rete Wi-Fi connessa.
   
3. Scorri in basso e tocca Configura DNS.
   
4. Cambia le impostazioni da Automatico a Manuale.
   
5. Tocca Aggiungi server e inserisci l'indirizzo IPv4 o IPv6 desiderato.
   

Modificare le impostazioni DNS su Android

Nota: per il nostro esempio abbiamo utilizzato uno Xiaomi 15 Ultra con Android 15. Per altri dispositivi o versioni del software, i passaggi potrebbero essere leggermente diversi.

1. Accedi alle impostazioni del dispositivo Android e tocca Maggiori opzioni di connettività.
   
2. Tocca DNS privato.
   
3. Vai su Nome host del provider DNS privato e inserisci il nome host del provider DNS.
   
4. Premi Salva per confermare la modifica.

Dovresti utilizzare un DNS pubblico o privato?

I server DNS pubblici sono spesso gestiti dagli ISP o da società come Google e Cloudflare. Al contrario, in genere i DNS privati sono gestiti, posseduti e utilizzati internamente dalle aziende. Anche le persone che gestiscono grandi reti di computer possono impostare un server DNS privato, allo scopo di mantenere la sicurezza e la privacy dei propri dati Internet.

La maggior parte degli utenti Internet si affida ai DNS pubblici. Tuttavia, come già accennato, questo genera diversi rischi di privacy. Per maggiore riservatezza, dovresti optare per un'affidabile VPN no-log che includa un servizio DNS criptato.